Cómo probar Event Threat Detection

Niveles de servicio Premium y Enterprise (obsoleto)

El nivel de servicio Enterprise de Security Command Center se cerrará el 21 de mayo de 2027. Si tu organización usa el nivel de servicio Enterprise, se trasladará automáticamente al nivel de servicio Premium a partir del 21 de mayo de 2027. Comunícate con tu representante de cuenta o con un Google Cloud especialista en ventas si tienes preguntas.

Para verificar que Event Threat Detection funcione, activa los detectores de forma intencional, visualiza los resultados en Security Command Center o Cloud Logging y, luego, limpia los recursos de prueba.

Event Threat Detection es un servicio integrado que supervisa las transmisiones de registros de Cloud Logging y Google Workspace de tu organización, y detecta amenazas casi en tiempo real. Para obtener más información, consulta Descripción general de Event Threat Detection.

Antes de comenzar

Para probar Event Threat Detection, verifica los siguientes requisitos previos:

• Habilitación del servicio: Para ver los resultados de Event Threat Detection, el servicio debe estar habilitado en la configuración de Servicios de Security Command Center.
• Permisos de IAM: Según el detector que quieras probar, debes tener uno de los siguientes roles:
  • Otorgamiento anómalo de IAM: Una función de Identity and Access Management (IAM) con el permiso resourcemanager.projects.setIamPolicy, como la función de administrador de IAM del proyecto.
  • Software malicioso: dominio incorrecto: Una función de IAM con los permisos compute.instances.create y dns.policies.create, como la función de editor del proyecto.
  • Ataque de fuerza bruta a SSH: Una función de IAM con el permiso compute.instances.create, como la función de administrador de instancias de Compute (v1) o la función de editor del proyecto.

Activa los resultados de prueba

Para verificar que Event Threat Detection genere resultados, selecciona uno de los siguientes detectores para activar:

• Detector de otorgamiento anómalo de IAM: Activa este detector otorgando un rol sensible a una cuenta de usuario de prueba externa.
• Software malicioso: detector de dominio incorrecto: Activa este detector ejecutando una consulta a un dominio incorrecto de prueba desde una instancia de VM.
• Detector de ataque de fuerza bruta a SSH: Activa este detector configurando una instancia de VM para transmitir registros de autenticación del sistema. Luego, simula varios intentos fallidos de acceso SSH, seguidos de un acceso exitoso.

Activa el detector de otorgamiento anómalo de IAM

Para activar el detector de otorgamiento anómalo de IAM, crea un usuario de prueba externo y otorga la función de propietario del proyecto:

1. Crea un usuario de prueba con una dirección de correo electrónico personal @gmail.com. Asegúrate de que esta cuenta @gmail.com aún no tenga permisos de IAM en el proyecto en el que realizas la prueba.

   Nota: Este hallazgo solo se activa para los usuarios de Security Command Center con una @gmail.com dirección de correo electrónico.

2. En la Google Cloud consola de, dirígete a la página IAM.

   Ir a IAM

3. Haz clic en Otorgar acceso.

4. En el campo Entidades nuevas, ingresa la dirección @gmail.com del usuario de prueba.

5. En la lista desplegable Seleccionar una función, selecciona Proyecto > Propietario.

6. Haz clic en Guardar.

Activa el detector de software malicioso: dominio incorrecto

Para activar el detector de software malicioso: dominio incorrecto, crea una instancia de VM con el registro de consultas de DNS habilitado y, luego, consulta un dominio de prueba:

1. Crea una instancia de VM en una red de VPC. Para obtener instrucciones, consulta Crea y luego, inicia una instancia de VM. Asegúrate de que el proyecto que contiene la instancia de VM esté dentro del alcance de Event Threat Detection. Es decir, el servicio de Event Threat Detection está habilitado para el proyecto o su organización superior.

2. Para habilitar el registro, configura una política del servidor DNS para la red de VPC:

   1. En la Google Cloud consola de, ve a la página Cloud DNS.

      Ir a Cloud DNS

   2. Selecciona la pestaña Políticas del servidor DNS.

   3. Haz clic en Crear política.

   4. En el campo Nombre, ingresa un nombre para la política.

   5. En Registros, selecciona Activado para habilitar el registro de las consultas de DNS.

   6. En Redes, selecciona la red de VPC que usa tu instancia de VM.

   7. Haz clic en Crear.

3. En la Google Cloud consola de, ve a la página Instancias de VM.

   Ir a Instancias de VM

4. En la lista de instancias de máquina virtual, haz clic en SSH en la fila de la instancia de VM que creaste. Se abrirá una ventana de la terminal en tu instancia de VM.

5. Ejecuta el siguiente comando:

   curl etd-malware-trigger.goog
   

   Nota: Cloud DNS registra esta solicitud de DNS y activa el hallazgo porque etd-malware-trigger.goog es un dominio malicioso de prueba conocido.

Activa el detector de ataque de fuerza bruta a SSH

Para activar el detector de ataque de fuerza bruta a SSH, configura el registro de autenticación y simula intentos fallidos de acceso SSH:

1. Crea una instancia de VM de Linux (como Debian) en una red de VPC. Para obtener instrucciones, consulta Crea y, luego, inicia una instancia de VM. Asegúrate de que el proyecto que contiene la instancia de VM esté dentro del alcance de Event Threat Detection.

2. En la Google Cloud consola de, ve a la página Instancias de VM.

   Ir a Instancias de VM

3. En la lista de instancias de máquina virtual, haz clic en SSH en la fila de la instancia de VM que creaste. Se abrirá una ventana de la terminal en tu instancia de VM.

4. Habilita la autenticación con contraseña SSH en la instancia de VM:

   1. Abre el archivo de configuración del daemon SSH en un editor de texto:

      sudo vim /etc/ssh/sshd_config
      

   2. Establece PasswordAuthentication en yes:

      PasswordAuthentication yes
      

   3. Reinicia el servicio SSH:

      sudo systemctl restart ssh
      

5. Crea una cuenta de usuario de prueba con una contraseña:

   sudo adduser TEST_USER
   

   Sigue las indicaciones para especificar una contraseña para el usuario de prueba.

6. Para transmitir registros de autenticación a Cloud Logging, instala el Agente de operaciones en la instancia de VM. Para obtener instrucciones, consulta Instala el Agente de operaciones.

7. Desde un host o una terminal externos con acceso de red a la instancia de VM, intenta acceder a la instancia de VM con SSH con credenciales incorrectas 8 veces consecutivas:

   ssh TEST_USER@INSTANCE_IP_ADDRESS
   

   Cuando se te solicite una contraseña, ingresa una incorrecta. Repite esto 8 veces.

8. Accede con la contraseña correcta:

   ssh TEST_USER@INSTANCE_IP_ADDRESS
   

   Cuando se te solicite, ingresa la contraseña correcta para TEST_USER.

9. Verifica que los registros de autenticación aparezcan en Cloud Logging con el ID de registro authlog.

Ver resultados

Después de activar los resultados probando un detector, verifica que se generen visualizándolos en Security Command Center o Cloud Logging:

Visualiza los resultados en Security Command Center

Para ver el hallazgo de Event Threat Detection en Security Command Center, haz lo siguiente:

1. En la Google Cloud consola de, ve a la página Resultados de Security Command Center.

   Ir a Resultados

2. En la sección Categoría del panel Filtros rápidos, selecciona la categoría de resultados:

   • Para Otorgamiento anómalo de IAM, selecciona Persistencia: Otorgamiento anómalo de IAM (haz clic en Ver más si es necesario).
   • Para Software malicioso: dominio incorrecto, selecciona Software malicioso: dominio incorrecto (haz clic en Ver más si es necesario).
   • Para Ataque de fuerza bruta a SSH, selecciona Ataque de fuerza bruta: SSH (haz clic en Ver más si es necesario).

3. Para ordenar la lista en el panel Resultados de la consulta, haz clic en el encabezado de la columna Hora del evento para que aparezca primero el hallazgo más reciente.

4. En el panel Resultados de la consulta de hallazgos, haz clic en el nombre de la categoría (Persistencia: Otorgamiento anómalo de IAM, Software malicioso: dominio malicioso o Ataque de fuerza bruta: SSH) en la columna Categoría para mostrar los detalles del hallazgo. Se abre el panel de detalles para el resultado y se muestra la pestaña Resumen.

5. Verifica los detalles del resultado:

   • Para Otorgamiento anómalo de IAM, verifica que el valor de la fila Correo electrónico principal contenga tu dirección de correo electrónico de prueba gmail.com.
   • Para Software malicioso: dominio incorrecto, selecciona la pestaña Propiedades de origen y verifica que la fila Dominios contenga etd-malware-trigger.goog.
   • Para Ataque de fuerza bruta a SSH, verifica que el Nombre de usuario coincida con tu nombre de usuario de prueba y que la IP del llamador coincida con la dirección IP desde la que realizaste los intentos de acceso.

Visualiza los resultados en Cloud Logging

Niveles de servicio Premium y Enterprise (obsoleto)  (requiere activación a nivel de la organización)

Si habilitaste los resultados de los registros en Cloud Logging, puedes verlos allí.

Requisito previo: Antes de poder ver los resultados de Event Threat Detection en Logging, configura la exportación de registros.

Para ver los resultados en Cloud Logging, sigue estos pasos:

1. En la Google Cloud consola de, accede al Explorador de registros.

   Ir al Explorador de registros

2. Selecciona el Google Cloud proyecto en el que almacenas los registros de Event Threat Detection.

3. Usa el panel Consulta para consultar los resultados con uno de los siguientes métodos:

   • En la lista Todos los recursos, haz lo siguiente:
     1. Selecciona Threat Detector para mostrar una lista de todos los detectores.
     2. En DETECTOR_NAME, selecciona iam_anomalous_grant, bad_domain, o ssh_brute_force.
     3. Haz clic en Aplicar.

   • En el editor de consultas, ingresa la siguiente consulta y haz clic en Ejecutar consulta:

     resource.type="threat_detector"
     

4. Para ver el registro, haz clic en una fila de la tabla y en Expandir campos anidados.

Limpia los recursos de prueba

Para evitar dejar anomalías de seguridad o incurrir en cargos no deseados, limpia los recursos de prueba del detector que probaste:

Limpia los recursos de otorgamiento anómalo de IAM

Para revocar los permisos otorgados para la prueba de otorgamiento anómalo de IAM, haz lo siguiente:

1. En la Google Cloud consola de, dirígete a la página IAM.

   Ir a IAM

2. En la fila de la dirección de gmail.com del usuario de prueba, haz clic en Editar principal.

3. En el panel que aparece, haz clic en Borrar función junto a la función de Propietario.

4. Haz clic en Guardar.

Limpia los recursos de software malicioso: dominio incorrecto

Para limpiar los recursos creados para la prueba de software malicioso: dominio incorrecto, sigue estos pasos:

1. Borra la instancia de VM que creaste. Para obtener instrucciones, consulta Borra una instancia de VM.
2. Anula la asociación o borra la política del servidor DNS que creaste. Para obtener instrucciones, consulta Borra una política de DNS.

Limpia los recursos de ataque de fuerza bruta a SSH

Para limpiar los recursos creados para la prueba de ataque de fuerza bruta a SSH, sigue estos pasos:

1. Borra la instancia de VM que creaste. Para obtener instrucciones, consulta Borra una instancia de VM.
2. Como alternativa, si quieres conservar la instancia de VM, revierte PasswordAuthentication a no en /etc/ssh/sshd_config, reinicia el servicio SSH (sudo systemctl restart ssh), y borra la cuenta de usuario de prueba (sudo deluser TEST_USER).

Solucionar problemas

Si no aparece un hallazgo en Security Command Center o Cloud Logging después de la prueba, haz lo siguiente:

• Verifica que Event Threat Detection esté habilitado en la configuración de Servicios de Security Command Center Services.
• Si pruebas los detectores de software malicioso: dominio incorrecto o ataque de fuerza bruta a SSH, verifica que el proyecto que contiene la instancia de VM esté dentro del alcance de Event Threat Detection.
• Para ver los resultados en Cloud Logging, asegúrate de haber configurado la exportación de registros.
• Si quieres ver más pasos para solucionar problemas, consulta Soluciona problemas de Security Command Center.

¿Qué sigue?

• Obtén más información para usar Event Threat Detection.
• Lee una descripción general de alto nivel de los conceptos de Event Threat Detection.
• Obtén información para investigar y desarrollar planes de respuesta a las amenazas.